Tokyo Security

Opera 10.53 RC1リリース

2010-04-30T18:15:00.002+09:00

出たばかりのOpera 10.52には、JavaScriptまわりでけっこう手ひどいバグ (Opera Asynchronous Content Modification Uninitialised Memory Vulnerability) があったので、さっそく 10.53 RC1 が出ています。 Opera Desktop Team - Opera 10.53 RC1 for Windows and Mac http://my.opera.com/desktopteam/blog/2010/04/28/opera-10-53-rc1-for-windows-and-mac 早いというか、なんというか…

CactiにSQL Injection

2010-04-25T18:29:00.002+09:00

CactiにSQL Injectionが見つかっています。 Full Disclosure: Bonsai Information Security - SQL Injection in Cacti <= 0.8.7e http://seclists.org/fulldisclosure/2010/Apr/272 Debian GNU/LinuxではDSAが出ています。 DSA-2039-1 cacti http://www.debian.org/security/2010/dsa-2039

Google Chrome extension に偽装したトロイの木馬

2010-04-20T15:22:00.001+09:00

Trojan poses as Google Chrome extension • The Register http://www.theregister.co.uk/2010/04/19/google_chrome_trojan/ より: Google Chrome の extension に偽装したトロイの木馬が発見されたそうです。「メールで受け取った文書の管理をもっと便利に!」とかかれたSPAM経由で、Google Chrome extension のページそっくりに偽装されたサイトに誘導され、そこからマルウェアの実行イメージに導かれます。ファイルの拡張子は、Google Chrome extension の .crx ではなく .exe なのですが、まあ気付かない人も多いでしょう…

phpmyadmin脆弱性

2010-04-18T10:16:00.000+09:00

phpmyadminの脆弱性は、つぶしてもつぶしても、いくらでも出てくる印象がありますが、今回はDebian -- Security Information -- DSA-2034-1 phpmyadminから: CVE - CVE-2008-7251 (under review) phpMyAdmin may create a temporary directory, if the configured directory does not exist yet, with insecure filesystem permissions. CVE - CVE-2008-7252 (under review) phpMyAdmin uses predictable filenames for temporary files, which may lead to a local

Google検索結果トップをクリックしてウイルスに感染する実例ビデオ

2010-04-17T12:05:00.001+09:00

百聞は一見に如かず。 2010/4/14に(英語での)Google検索ホットにあがっていた "tax day freebies" を検索し、(ニュースとかTwitterフィード以外の) 普通の検索結果の一個めをクリックし、偽装されたアンチウイルスサイトに誘導されてしまうさまが映し出されています。 Zscaler Research: Video: first link on Google leads to a malware site

元フランス軍の暗号専門家、Microsoft Officeの暗号の脆弱性について語る

2010-04-17T11:19:00.000+09:00

Microsoft Office文書の暗号メカニズムには実装上の問題があり、攻撃者はそこをついて暗号を回避できます。これは特に目新しい話ではなく、2005年にすでに表に出ている話ですが、この脆弱性をつくツールや攻撃例が(公式に認められている限り)はありません。マイクロソフトが昔のバージョンのOfficeに対して、この問題を修正してこなかった理由は、ここかもしれません。フランスの暗号専門家である Eric Filiol は、Black Hat セキュリティ・カンファレンスにて、こんな状況はもはや変わってしまった、とプレゼンテーションにて強調しています。彼の開発したツールを使えば、数分でOffice文書の暗号は解読できると。彼は1994年以来Officeで使われているRC4アルゴリズムを統計的に解析しはじめているそうです。いわく「当時私はフランス軍に雇用されており、当時のことはすべて

一太郎に0-day脆弱性

2010-04-16T02:06:00.004+09:00

かの国産ワープロソフト「一太郎」に、0-day脆弱性が発見されています。セキュリティ通信｜セキュリティ関連ニュース　【ゼロデイ攻撃】一太郎に脆弱性、すでに悪用も～早急に更新モジュール適用をいまさら一太郎? とも思いますが、公的機関に文書を提出するケースでは、いまだに一太郎フォーマットが要求されることもあるようです。思い当たるかたはぜひアップデートを。

Firefox, CSS経由での訪問履歴検出に対抗

2010-04-16T02:05:00.000+09:00

CSS の :visited に行われるプライバシー対策 « Mozilla Developer Street (modest) にあるとおり、Mozilla Foundationは、CSSを用いたユーザのサイト訪問履歴の想定外な検出手法に対策を取るようです。 CSSの :visited セレクタを使うと、特定のURLリンクの色がわかります。つまり、この仕組みを仕込んだページを訪問しただけで、そのユーザが特定のサイトを過去に訪問したことがあるかどうかが判ります。その検出結果をJavaScriptで任意のところに送信することもできるでしょう。端的に言えば「あなたはこのアダルトサイトを訪問したことがありますね」ということが、おそらくあなたが全くそれを意図しないうちに、勝手に検出されてしまいます。この手法を使うと、たとえばWebサイトに出す広告のターゲッティングをさらに絞り込むことができ

JRE 6 Update 20

2010-04-16T01:48:00.000+09:00

JRE 6 Update 20が出ています。前回 JRE 6 Update 19が出てから二週間ぐらいしか経っていません。 Java SE 6 Update 20 Release Notes 今回も重要な脆弱性への修正が含まれています。速やかにアップデートしましょう。Windowsの場合はコントロールパネルのJavaセクションからアップデートできますが、自動アップデートは月に一回の頻度に設定されていることが多いので、こちらもあわせてチェックの頻度を高めておきましょう。

WindowsマシンのDNS設定を改ざんし通信を乗っ取る「iPhoneアンロック・ユーティリティー」

2010-04-16T01:43:00.000+09:00

WindowsマシンのDNS設定を改ざんし、通信を乗っ取ろうとする「iPhoneアンロック・ユーティリティー」が報告されています。 DNS Trojan poses as iPhone unlocking utility • The Register iPhoneをunlockできます、とうたうスパムメール経由で、ユーザを iphone-iphone.info というサイトに誘導し、blackra1n.exe という Windows実行ファイルをダウンロードさせます。これは iPhone アンロック・ユーティリティーという見かけの裏で、DNS設定を改ざんし、インターネット接続をハイジャックしてしまいます。 2010/4/16 01:30 JST 現在、iphone-iphone.info には、Google Chrome や Firefox でもアクセスできてしまいます。まだ

Mac OS X Security Update 2010-003

2010-04-16T01:36:00.000+09:00

Mac OS X の Security Update 2010-003 が出ました。このアップデートで、先日「「iPhone」「Safari」「IE8」「Firefox」がハッキングされる-Pwn2Ownコンテスト:ニュース - CNET Japan」で報道された、遠隔でSafariのloopholeを突いてOS Xホストをクラックできるセキュリティホールを塞ぐことができた、としています。セキュリティアップデート 2010-003 のセキュリティコンテンツについて http://support.apple.com/kb/HT4131?viewlocale=ja_JP Apple patch closes Pwn2Own hole in Mac OS X - The H Security: News and Features

Apache's Atlassian JIRA system compromised

2010-04-13T20:51:00.000+09:00

Apache Software Foundation (ASF) いわく、Atlassian 社製のバグ・トラッキングシステムである JIRA, エンタープライズ用のwiki である Confluence, そして Bugzilla のバスワードがクラックされたようです。 JIRAとConfluenceはランダムなsaltなしでSHA-512でパスワード・ハッシュを生成しており、この弱さを4/6〜4/9の間に突かれたようです。関係者はパスワードを(複雑なものに)変更すべし、とのことです。 Apache's Atlassian JIRA system compromised - The H Security: News and Features http://www.h-online.com/security/news/item/

CVE-2010-0806の実証コード

2010-04-07T02:39:00.000+09:00

CVE-2010-0806の実証コードがZscaler Researchで公開されています。 Zscaler Research: CVE-2010-0806 Exploit in the Wild http://research.zscaler.com/2010/04/cve-2010-0806-exploit-in-wild.html 難読化されたJavaScriptが興味深いです。

JRE 6 Update 19

2010-04-02T17:34:00.002+09:00

JRE のアップデートはともかく、とうとう「オラクルは… 公開した」なんですね…

Firefox 3.6.3

2010-04-02T17:27:00.000+09:00

このあいだ 3.6.2 が出たとおもったら、もう3.6.3です。次世代ブラウザ Firefox – Firefox 3.6.3 リリースノート http://mozilla.jp/firefox/3.6.3/releasenotes/ 以下の脆弱性が修正されています。 MFSA 2010-25: スコープの混同による解放済みオブジェクトの再使用 http://www.mozilla-japan.org/security/announce/2010/mfsa2010-25.html

GmailでIMAP/SMTP認証にOAuthが利用可能に

2010-03-31T10:40:00.002+09:00

サードパーティーのアプリケーションやWebサービスから、何かサービス・サーバを使う際に、ユーザ名とパスワードといった認証情報を預けて利用することは多く使われていますが、認証情報を預けずに認証ができればさらに安心です。そのための仕組みとしてOAuthがありますが、GmailではIMAPやSMTPの認証にOAuthが使えるよう、プロトコル拡張を実地に提案していて、サンプル実装もでています。 Google Code Blog: OAuth access to IMAP/SMTP in Gmail http://googlecode.blogspot.com/2010/03/oauth-access-to-imapsmtp-in-gmail.html これはなかなかよさそうですね。ちなみに、GmailではAPOPでのアクセスに対応していないことに気付きました(再確認しました)。APOP

QuickTime 7.6.6

2010-03-31T10:12:00.000+09:00

QuickTime 7.6.6が出ています。 QuickTime：QuickTime 7.6.6 について http://support.apple.com/kb/HT4008?viewlocale=ja_JP 対象製品: QuickTime 7 (Windows), QuickTime 7 (OS X), Mac OS X 10.5, Windows OS Mac OS X: iMovie の全般的な信頼性が向上しました。 Windows: マルチコアシステムにおける H.264 再生問題に対処しています。とのことです。Mac OS Xではインストール後の再起動が必要です。

Internet Explorerのセキュリティ更新の事前告知 (定例外)

2010-03-30T12:34:00.000+09:00

あした2010/3/31にIEの臨時アップデートがあるようです。 IE 6, 7 が対象となっていますが、IE 8も適用を推奨とのことです。日本のセキュリティチーム : Internet Explorerのセキュリティ更新の事前告知 (定例外) http://blogs.technet.com/jpsecurity/archive/2010/03/30/3321898.aspx

OpenSSL 1.0.0 released!

2010-03-30T10:47:00.002+09:00

ついにOpenSSLが1.0.0になりました! OpenSSL V 1.0.0 released! http://isc.sans.org/diary.html?storyid=8527 OpenSSL: The Open Source toolkit for SSL/TLS http://www.openssl.org/

加工されたTLSパケットでOpenSSLがクラッシュ

2010-03-29T22:02:00.002+09:00

悪意をもって加工された TLS パケットにより OpenSSL サーバおよびクライアントをクラッシュさせられることがわかりました。SSL通信を処理する ssl3_get_record() 関数が問題となっています。問題となるデータはエンドポイント同士でやり取りされるものです。このバグはビルドに用いられるCコンパイラに依存しますが、理論的には OpenSSLの 0.9.8f から 0.9.8m のバージョンに脆弱性があります。Cのshortが16ビット整数と解釈される環境(ほとんどの場合がそうでしょう)では OpenSSL 0.9.8m のみが対象となります。 OpenSSL 0.9.8n にアップグレードすることで問題を解決できます。 'Record of Death' takes out OpenSSL servers - The H Security: News and

curlにbuffer overflow

2010-03-28T21:53:00.002+09:00

Debian GNU/Linuxで、curlのDSAが出ています。 Debian -- Security Information -- DSA-2023-1 curl 圧縮されたデータを展開するところで固定長のバッファを使っていたため、バッファオーバーフローを引き起こす可能性あり、という脆弱性のようです。

.ruドメインの運用に証明書提出を義務づけ

2010-03-24T02:01:00.000+09:00

ロシアの .ru トップレベルドメインに関して、4月から公的書類による証明が必要になるようです。 .ru が TLDのドメインはphishingサイトやspam発射台など、不正利用が横行していることから、正常化に向けて動き出した模様。 Russia to crack down on abuse of .ru addresses • The Register http://www.theregister.co.uk/2010/03/22/russian_domain_crackdown/

Firefox 3.6.2出ました

2010-03-23T19:51:00.000+09:00

Tokyo Security: 2010/3/30にFirefoxバッチ公開予定と書いたばかりですが、zero dayということもあり、3/30を待たず3.6.2が出ました。 Webフォントまわりのinteger overflowを悪用した穴をつつけるので、悪意のページを表示しただけでexploitされる可能性があります。なのでみなさんすぐに3.6.2にupgradeしましょう。 MFSA 2010-08: WOFF heap corruption due to integer overflow http://www.mozilla.org/security/announce/2010/mfsa2010-08.html

2010/3/30にFirefoxバッチ公開予定

2010-03-23T11:11:00.001+09:00

深刻なremote exploitを修正したFirefox 3.6.2を2010/3/30にリリース予定のようです。 Firefoxに深刻な脆弱性、3月30日にパッチ公開へ - ITmedia エンタープライズ http://www.itmedia.co.jp/enterprise/articles/1003/23/news021.html 追記: 3/30を待たず3.6.2リリースされました。 Tokyo Security: Firefox 3.6.2出ました http://tokyosecurity.blogspot.com/2010/03/firefox-362.html

Webサイト脆弱性調査ツール skipfish

2010-03-23T00:57:00.001+09:00

skipfishというWebサイト脆弱性調査ツールが、Googleのlcamtuf氏によって公開されています。(この人は、Webトランザクションを見張って脆弱性を拾いだしてくれる特殊なWeb proxyであるratproxyの作者です) http://code.google.com/p/skipfish/ 内部に辞書を持っていて、クラッカーが狙いそうなアクセスパターンの組み合わせを試みます。高速に動作し、自動学習やフォームの自動入力などにも対応。 Cで書かれていて、LinuxやFreeBSD 7.0以降, Cygwin, Mac OS Xで動作するようです。ぜひおためしください。